spip-cve-2023-27372-rce

Exploit de RCE no autenticada CVE-2023-27372 en SPIP Subida de Web Shell Este script de Python explota CVE-2023-27372, una vulnerabilidad de ejecución remota de código no autenticada en SPIP CMS versiones anteriores a 4.2.1. Aprovecha una falla de envenenamiento de caché en el mecanismo de...

CVE-2025-2304_POC

CVE-2025-2304POC CVE-2025-2304 POC - Escalada de Privilegios en Camaleon CMS Este POC se utiliza para explotar los privilegios de Camaleon CMS y obtener privilegios de administrador. El exploit funciona inyectando el rol en la función de restablecimiento de contraseña de un usuario autenticado...

CVE-2026-8347

CVE-2026-8347 – Insecure Direct Object Reference IDOR in Concrete CMS Overview CVE-2026-8347 is an Insecure Direct Object Reference IDOR vulnerability affecting Concrete CMS versions 9.5.0 and earlier. The issue exists in the Express Association Reorder functionality due to insufficient...

CVE-2021-29440

CVE-2021-29440 Procesamiento Twig inseguro de páginas estáticas que conduce a RCE en Grav CMS 1.7.10 Grav es una plataforma web basada en archivos. El procesamiento Twig de páginas estáticas puede habilitarse en el front matter por cualquier usuario administrativo con permisos para crear o editar...

CVE-2022-44136-poc

CVE-2022-44136-poc Zenar CMS 9.3 sufre una vulnerabilidad de carga de archivos sin restricciones​​ en su módulo de gestión de archivos, lo que permite a atacantes autenticados con privilegios mínimos cargar archivos arbitrarios, incluidos scripts PHP maliciosos, en el servidor web. Debido a una...

CVE-2025-61505

CVE-2025-61505 – PHP Object Injection in e107 CMS 2.x Reported: September 18, 2025 CVE Assigned: October 9, 2025 Published: February 02, 2026 CVE ID: CVE-2025-61505 Discoverer: Anas Abderrahman Benbarek Summary A PHP Object Injection vulnerability CWE-502: Deserialization of Untrusted Data was...

CVE-2023-50564

CVE-2023-50564 CVE-2023-50564 es una vulnerabilidad de ejecución remota de código RCE en Pluck CMS v4.7.18. Es posible gracias a una vulnerabilidad de carga arbitraria de archivos en el componente /inc/modulesinstall.php, que permite ejecutar código arbitrario subiendo un archivo .zip malicioso...

CVE-2024-31835

CVE-2024-31835 Vulnerabilidad de Cross Site Scripting XSS en flatpress CMS Flatpress v1.3 permite a un atacante remoto ejecutar código arbitrario a través de un payload manipulado en el parámetro file name. Componente afectado: Campo de carga de archivos del panel de administración de FlatPress C...

CVE-2022-37205

CVE-2022-37205 CVE-2022-37205 POC Suggested description RESERVED JFinal CMS 5.1.0 is affected by: SQL Injection. These interfaces do not use the same component, nor do they have filters, but each uses its own SQL concatenation method, resulting in SQL injection. Additional Information...

cve-2026-16219-croogo-lab

CVE-2026-16219: Croogo FileManager defensive lab This repository documents and safely demonstrates the path-authorization flaw tracked as CVE-2026-16219 in Croogo CMS. It is intended for defenders, maintainers, students, and researchers testing systems they own or are explicitly authorized to...

CVE-2025-67435

CVE-2025-67436 Authenticated Remote Code Execution RCE in PluXml CMS 5.8.22 Researcher : Chowdhury Faizal Ahammed Installation root@kitploit: git clone https://github.com/pluxml/PluXml.git cd PluXml ddev config --project-type=php --php-version=8.1 --docroot=. ddev start...

CVE-2025-32432

CVE-2025-32432 — Craft CMS Pre-Auth RCE Exploit for unauthenticated remote code execution in Craft CMS, written in Go. Inspired by the original work of c0gnit00. How it works 1. Gets the PHP session and CSRF token via GET /admin/login 2. Poisons the PHP session file by injecting PHP code into the...

CVE-2025-2304-POC

CVE-2025-2304-POC PoC for CVE-2025-2304 — Camaleon CMS 2.9.0 privilege escalation via mass assignment on the password change endpoint. Vulnerability The /admin/users/:id/updatedajax endpoint does not filter the role parameter before passing it to the model update, allowing any authenticated user ...

cve-2019-9053-py3

CVE-2019-9053 — CMS Made Simple SQLi Exploit Python 3 Disclaimer: This tool is intended for authorized penetration testing and educational purposes only. Running this against systems without explicit written permission is illegal. The author assumes no liability for misuse. Overview This is a...

CVE-2017-9934

CVE-2017-9934 Soy el reportero de este exploit, bajo el nombre: Envo Exploit PoC de CSRF para Joomla 1.7.3 - 3.7.2 Esta vulnerabilidad funciona debido a que las versiones de Joomla 1.7.3 a 3.7.2 no sanitizan la entrada base64. Headers: root@kitploit: POST...

CVE-2023-43875-Subrion-CMS-Reflected-XSS---Installation

Subrion CMS Reflected XSS v4.2.1 Author: Sergio Description: Multiple Cross-Site Scripting XSS vulnerabilities in installation of Subrion CMS v.4.2.1 allows a local attacker to execute arbitrary web scripts via a crafted payload injected into the dbhost, dbname, dbuser, adminusername and...

CVE-2023-43346-Quick-CMS-Stored-XSS---Languages-Backend

Quick CMS Stored XSS v6.7 Author: Sergio Description: A Cross-Site Scripting XSS vulnerability in Quick CMS v6.7 allows a local attacker to execute arbitrary code via a crafted script to the to the Backend - Dashboard in the Languages Menu. Attack Vectors: Scripting A vulnerability in the...

CVE-2024-46987

CVE-2024-46987: Path Traversal Automatizado 📖 Descripción General Este repositorio contiene una Prueba de Concepto PoC basada en Python para CVE-2024-46987. Esta vulnerabilidad es un fallo de Path Traversal encontrado en los módulos de descarga de archivos de ciertos entornos CMS notablemente...

CVE-2023-43343-Quick-CMS-Stored-XSS---Pages-Files

Quick CMS XSS Almacenado v6.7 Autor: Sergio Descripción: Múltiples vulnerabilidades de Cross-Site Scripting XSS en Quick CMS v6.7 permiten a un atacante local ejecutar código arbitrario mediante un script manipulado para la la Descripción de Archivos en el menú de Páginas. Vectores de ataque:...

CVE-2023-44758_GDidees-CMS-Stored-XSS---Title

GDidees Stored XSS v3.0 Author: Sergio Description: Cross Site Scripting vulnerability in GDidees v.3.0 allows a local attacker to execute arbitrary code via a crafted script to the Page Title. Attack Vectors: Scripting A vulnerability in the sanitization of the entry in the Page Title allows...